Firefox 158 zatvara 77 propusta — osam ih probija izolaciju

Firefox 158 zatvara 77 sigurnosnih propusta, od kojih je 30 ocijenjeno visokorizičnima, a osam može omogućiti izlazak iz sigurnosne izolacije preglednika, prema PCWorldovu prebrojavanju ispravaka. Korisnicima stabilne inačice razlog za brzu nadogradnju nisu samo brojke: među zakrpama su slabosti koje se odnose na ovlasti procesa i granice koje ograničavaju štetu od zlonamjernog sadržaja. Preuzetu nadogradnju treba i primijeniti ponovnim pokretanjem Firefoxa.

Mozilla je 13. listopada 2026. objavila sigurnosni bilten za Firefox 158 s ispravcima za podizanje ovlasti u komponenti Application Update te izlazak iz izolacije u mrežnoj i grafičkoj komponenti, među ostalima. Bilten navodi propuste različite ozbiljnosti, pa oznaka izlaska iz izolacije ne znači da svaki od njih samostalno omogućuje preuzimanje uređaja. Ipak, riječ je o zaštitnoj granici zbog koje završetak ažuriranja ima stvarnu sigurnosnu posljedicu.

Što se nalazi među ispravcima

Popis obuhvaća pogreške u rukovanju memorijom, neispravne provjere granica i slabosti povezane s ovlastima. Pogreška korištenja memorije nakon njezina oslobađanja može narušiti način na koji program obrađuje sadržaj; njezin ishod ovisi o pogođenoj komponenti i mogućnosti iskorištavanja. Zato sve stavke u biltenu ne treba čitati kao isti napad pod različitim imenima. Propust u prikazu sadržaja i propust u mehanizmu koji odvaja procese imaju različite uloge u mogućem napadnom lancu.

Posebno je važan ispravak u komponenti Application Update. Ta komponenta sudjeluje u održavanju preglednika, a podizanje ovlasti označava mogućnost da kod prijeđe granicu dopuštenih radnji. Drugi ispravci odnose se na mrežnu obradu, grafiku i sadržajne procese. Takva raspodjela pokazuje zašto zakrpa nije usmjerena na jednu vidljivu funkciju Firefoxa: ranjivosti mogu nastati na više mjesta na kojima preglednik obrađuje web-sadržaj ili upravlja vlastitim procesima.

Ocjena visokog rizika govori o mogućem učinku ranjivosti, ali sama po sebi nije dokaz da se napad već dogodio. Korisniku zato nije potrebno čekati vijest o iskorištavanju pojedinačnog propusta. Objavljeno izdanje već sadrži ispravke za poznate slabosti, a odgoda nadogradnje ostavlja stariju instalaciju izloženom upravo onim putovima napada koje zakrpa uklanja.

Zašto je izlazak iz izolacije ozbiljan

Firefox odvaja web-sadržaj u procese čije su mogućnosti ograničene. Ako se u obradi stranice dogodi sigurnosna pogreška, izolacija treba spriječiti da se učinak lako proširi na dijelove preglednika s većim ovlastima. Ranjivost označena kao izlazak iz izolacije slabi tu drugu prepreku. Zbog toga je važna čak i kada opis pojedinačnog propusta ne govori o neposrednoj krađi podataka ili preuzimanju računala.

Mogući napadni lanac može imati više koraka: jedna pogreška omogućila bi neželjeno djelovanje unutar ograničenog procesa, a druga bi otvorila put izvan njegovih granica. To je objašnjenje sigurnosnog mehanizma, a ne tvrdnja da je takav lanac zabilježen za ovo izdanje. Praktično značenje zakrpa jest da uklanjaju poznate slabosti na obje vrste mjesta: ondje gdje se sadržaj obrađuje i ondje gdje bi zaštitna granica trebala zaustaviti daljnji prodor.

Nisu svi propusti povezani s izolacijom jednako ocijenjeni. Na njihov učinak utječu pogođena komponenta, uvjeti potrebni za iskorištavanje i ovlasti koje napadač može dosegnuti. Korisnik ipak ne može pouzdano odabrati samo jednu zakrpu s popisa: Firefox se nadograđuje kao cjelina. Upravo je zato instalirana inačica korisniji podatak od pokušaja procjene svakog tehničkog opisa zasebno.

Kada je nadogradnja doista dovršena

Preuzimanje i primjena nadogradnje dva su odvojena koraka. Mozilline upute za ažuriranje navode da Firefox u prozoru „O Firefoxu” provjerava i preuzima dostupnu inačicu, a primjenjuje je nakon ponovnog pokretanja. Kada preuzimanje završi, treba odabrati ponuđenu naredbu za ponovno pokretanje radi ažuriranja. Dok je preglednik i dalje otvoren u staroj sesiji, sama činjenica da je zakrpa preuzeta nije potvrda da se ona već koristi.

Prozor „O Firefoxu” otvara se iz izbornika preglednika, kroz odjeljak pomoći. Nakon ponovnog pokretanja valja ga otvoriti ponovno i pogledati broj prikazane inačice. Ako piše Firefox 158, ponovno otvoreni preglednik radi na zakrpanom izdanju. Ako je broj stariji, postupak još nije dovršen za instalaciju koja je trenutačno pokrenuta; tada treba provjeriti čeka li preuzimanje, ponovno pokretanje ili isporuka nove inačice.

Postoji i zamka u samoj poruci o stanju ažuriranja: prozor može prikazati da je Firefox ažuran dok se novija inačica još preuzima u pozadini. Zato je pregled broja inačice nakon ponovnog otvaranja pouzdaniji od oslanjanja na raniju poruku. Razlika je posebno važna kad korisnik ostavlja preglednik otvorenim dulje vrijeme, s već učitanim karticama, i pretpostavlja da je automatsko preuzimanje ujedno završilo sigurnosnu nadogradnju.

Način isporuke ovisi i o tome kako je Firefox instaliran. Primjerak preuzet iz Microsoft Storea prima ažuriranja preko te trgovine, a instalacijom koju održava Linuxova distribucija upravlja njezin sustav paketa. U tim slučajevima naredbe u samom pregledniku mogu izgledati drukčije ili izostati. Bez obzira na put kojim zakrpa stiže, odlučujuće je koja se inačica prikazuje u Firefoxu nakon što je ponovno pokrenut.

Za korisnika koji je započeo nadogradnju posljedica je jasna: zaštita iz novog izdanja vrijedi za ponovno pokrenuti preglednik, a ne za preuzetu datoteku koja još čeka primjenu. Provjera instalirane inačice zatvara taj razmak između obavijesti o zakrpi i pregledavanja u ažuriranoj sesiji.

Pročitajte i:

• GitLab traži hitnu nadogradnju — tri zakrpane grane zatvaraju kritičnu grešku
• Namespace prikupio 42 mil. USD — prihod je narastao osam puta
• Googleov PageBreak našao je 500+ XSS propusta, uz provjeru svakog napada